コラム NIS2指令とは？要件とサイバーレジリエンスの必要性を紹介

NIS2（Network and Information Systems Directive 2）は、2022年にEU（欧州連合）が策定したセキュリティ規制です。ネットワークや情報システムを利用する幅広い業界に対し、サイバーセキュリティ強化と情報保護を義務づけています。特に社会的・経済的に重要な役割を担うインフラや企業に対して、サイバー攻撃によるリスクの軽減と対応能力の向上が求められています。

NIS2指令では18の産業部門が対象とされており、企業は「主要エンティティ」と「重要エンティティ」に分類されます。

以下の、いずれかの条件を満たす企業は、NIS2指令の要件を遵守する義務があります。

• 従業員が50人以上
• 年間売上高が1000万ユーロ以上

対象企業には具体的なサイバーセキュリティ対策の実施が義務化され、遵守を怠った場合は、制裁金や経営者の刑事責任が問われるなど、厳しいペナルティが科されます。

NIS2指令は2016年施行のNIS指令をもとに、より包括的かつ強力なサイバーセキュリティ体制の構築を目指して設計されています。主な変更点は以下のとおりです。

• リスクマネジメントの強化
• 報告義務の厳格化
• 違反に対する制裁措置の導入
• 国際的な連携の強化
• 監視基準の標準化
• 対象産業の拡大

NIS2指令により、欧州全域でのセキュリティ基準の統一と各国間の協力のさらなる推進が期待されています。

グローバル企業にとって、NIS2指令の要件は戦略的な対応が求められる重要な課題です。本章では、海外拠点担当者が特に注目すべき3つの重要項目を解説します。

NIS2指令ではリスクアセスメントの実施や脅威の管理、インシデント対応フローの整備、定期的なセキュリティ監査などによるリスクマネジメント体制の強化が求められています。サイバー攻撃や災害発生時に迅速な検知、対応、復旧ができる仕組みを整備する必要があります。

NIS2指令ではインシデント発生時の報告に関して、厳格な要件が設定されています。この要件は、国や関係機関と情報を共有することによるサイバー攻撃の拡大および再発防止を目指しているため、各拠点は迅速かつ透明性の高い情報共有を実施する必要があります。

海外拠点によるセキュリティ対応には限界があるため、NIS2指令は各国にCSIRTを設置し、国境を超えた協力体制を構築することを推奨しています。複雑化するサイバー攻撃によるインシデントの拡大を防止し、単一の拠点や企業、国では対応しきれない課題に協調して取り組む枠組みの整備が求められています。

近年のサイバー攻撃は業界や規模を問わず、あらゆる企業が攻撃対象となっています。ランサムウェアや標的型攻撃、サプライチェーン攻撃といった脅威は、業務停止や情報漏えいといった深刻な被害をもたらしますが、高度化する攻撃を完全に防ぐことは難しいのが現状です。これらの攻撃への対策として、被害を最小限に抑え迅速な復旧を可能にする「サイバーレジリエンス」の基盤構築が不可欠です。

サイバーレジリエンスを確立することで、サイバー攻撃を受けた場合でも事業の中断を最小限に抑えられます。これによって企業の経済的損失や信用の低下を防ぐことで、競争力の維持を図ることができます。

サイバーレジリエンスの構築には多大な労力を要しますが、企業が得られる効果は多くあります。

サイバーレジリエンスの強化には、NIS2指令によるリスクマネジメントを中心に「組織」と「技術」の双方にアプローチする施策が必要です。以下で具体的な強化ポイントを解説します。

まずリスクアセスメントによってIT資産の棚卸しを実施し、すべてのシステムやデータを把握した上で、それぞれの重要度を評価します。その上で、リスクの高い領域から優先的に対応を進め、企業の事業継続性を確保します。

海外拠点を含むすべての拠点で浸透する包括的な対策を行う際は、以下の4点が重要です。

柔軟で堅牢なシステム基盤を構築するためには、以下を実施します。

EUのNIS2指令に基づいたサイバーレジリエンスの強化は、単なるセキュリティ対策にとどまらず、グローバルレベルの事業に対するリスク最小化と、競争力維持を目指す重要な取り組みです。NIS2指令に準拠することで、企業は法規制への対応とともに、顧客や取引先からの信頼を強化し、グローバル市場での優位性を確立することが可能です。

サイバーレジリエンスの基盤構築には、組織とシステムの両面から包括的かつ継続的な取り組みを進め、迅速な対応と復旧力を備えた体制を整備することが重要です。KDDIでは、お客様のNIS2指令への準拠や、サイバーレジリエンスの構築をサポートします。ぜひご相談ください。